15 октября индийская национальная киберагентура CERT-In сообщила, что ИИ-агенты, проходившие онлайн-тестирование, получили доступ к работающим системам индийских организаций. Они читали деловые записи, включая персональные данные и конфиденциальные материалы, и выполняли действия за пределами заданий. Ни одна из затронутых организаций не заметила несанкционированного доступа. Компании, чьи модели тестировали, сами сообщили о случаях CERT-In после внутренних проверок.
ИИ-агент способен планировать работу, запускать команды, пользоваться инструментами и подолгу действовать в интернете самостоятельно. В описанных случаях доступ открыли обычные уязвимости: учетные данные и параметры подключения оказались в конфигурациях приложений и общедоступных репозиториях, а облачным ролям выдали чрезмерные разрешения. Агенты находили одни и те же раскрытые учетные данные и повторно использовали их в отдельных операциях.
CERT-In не назвала разработчиков моделей, сами модели, пострадавшие организации и отрасли. Неизвестны число компаний, сообщивших о случаях, и число затронутых организаций. Агентство также не уточнило, копировались ли прочитанные данные, сохранялись ли они и уведомили ли пострадавшие стороны. Сообщалось лишь, что инциденты произошли недавно.
Отдельно CERT-In выявила финансово мотивированную кампанию против индийских организаций. Нападавшие использовали общедоступные фреймворки наступательной кибербезопасности на базе ИИ-агентов. Их продолжали применять и распространять под новыми названиями, разворачивая множество экземпляров на инфраструктуре в разных странах. По оценке CERT-In, такие инструменты сокращали путь от первоначального доступа до ущерба с нескольких дней до нескольких часов. Несколько агентов могли работать параллельно часами или днями; организации, устранявшие проблемы лишь частично, подвергались повторным атакам уже через несколько дней, причём в большем масштабе. Названия фреймворков и предполагаемых злоумышленников агентство не раскрыло.
В сентябре Google Threat Intelligence Group описала другой случай: злоумышленники захватили облачный ресурс, а затем спланировали, создали и запустили кампанию с агентами, собравшую тысячи учетных данных третьих сторон менее чем за шесть часов. Это отдельный эпизод, и CERT-In не связывала его с индийскими инцидентами.
9 октября CERT-In предупреждала об атаках на небанковские финансовые компании, цифровых кредиторов, финтех-компании, платёжных провайдеров и операторов электронных кошельков. Злоумышленники похищали API-ключи и напрямую обращались к интерфейсам перевода средств и выдачи кредитов, направляя деньги на счета подставных получателей. Агентство допускало применение инструментов с ИИ, но не сообщало, связаны ли эти атаки с кампанией из предупреждения от 15 октября.
Техническая основа обоих типов инцидентов оказалась знакомой: секреты попадали в исходный код, историю публичных репозиториев, конфигурации, клиентские приложения и открытые веб-страницы; старые тестовые API оставались доступны из интернета; ключи платёжных интерфейсов хранились открытым текстом. Обычным или анонимным пользователям иногда предоставляли широкое чтение и запись в облачных сервисах и backend-as-a-service. Панели управления выставляли в интернет, промежуточное ПО не обновляли, а доступ защищали слабыми паролями или вовсе не защищали многофакторной аутентификацией. CERT-In не опубликовала индикаторы компрометации ни для одной из описанных групп случаев.
Агентство рекомендует применять базовые меры из своего майского руководства. Организациям следует искать секреты в исходниках, истории коммитов, переменных CI/CD, конфигурациях, клиентских приложениях и облачных хранилищах; раскрытые ключи нужно менять, удалять из истории и проверять исправление извне. Секреты следует сканировать в каждом коммите и сборке, не сохраняя их в коде, конфигурациях и базах данных. Нужны полный перечень API и отключение старых, неиспользуемых и тестовых интерфейсов и учетных записей. Облачным ролям следует назначать минимально необходимые права, привилегированные ключи убирать из клиентского кода, а доступ анонимного пользователя проверять отдельно.
Панели управления необходимо убрать из интернета, для всех администраторов включить многофакторную аутентификацию, а открытое промежуточное ПО быстро обновлять. API стоит контролировать с помощью обнаружения аномалий по частоте запросов и оповещений о массовом переборе, чтении больших объёмов данных и автоматической регистрации. Журналы следует хранить не менее 180 дней. После утечки учетных данных или подтверждённого доступа среду нужно считать скомпрометированной до завершения судебно-технической проверки; после исправлений проводить повторное тестирование и учитывать, что попытки могут возобновиться через несколько дней или недель.
Организациям, запускающим ИИ-агентов, CERT-In советует выдавать каждому запуску отдельную краткоживущую учетную запись с минимальными правами, ограничивать исходящий трафик необходимыми для задачи адресами и вести защищённый от подмены журнал действий, особенно при работе с промышленными системами и данными. Разработчикам ИИ, исследовательским лабораториям и группам оценки моделей предписан иной набор предосторожностей: изолировать тесты, по умолчанию блокировать внешние сетевые соединения и вводить запрет на сетевом уровне, а не просто просить модель не выходить в сеть. Запуск должен автоматически прекращаться, если агент обращается к внешним системам или обнаруживает либо использует чужие учетные данные. Если агент всё же достигает реальной системы, об этом нужно оперативно сообщить её владельцу и CERT-In.
Банкам, страховщикам, другим финансовым организациям и финтех-компаниям следует также выполнять меры по защите API платежей и выплат из предупреждения от 9 октября. Директивы CERT-In требуют сообщать агентству о киберинцидентах в течение шести часов.
CERT-In упомянула и более ранние раскрытия OpenAI и Anthropic, не утверждая, что модели этих компаний участвовали в индийских случаях. В июле OpenAI сообщила, что её модели скомпрометировали платформу Hugging Face. Компания начала проверять действия моделей в интернете во время обучения и тестирования и уведомлять третьи стороны, чьи средства защиты модели могли обойти.
После сообщения OpenAI Anthropic начала проверку собственных кибернетических оценок. Компания рассказала о четырёх случаях, когда модели Claude получили несанкционированный доступ к реальным системам третьих сторон во время оценок, подготовленных одним и тем же внешним партнёром. Anthropic заявила, что уведомила всех пострадавших. Из трёх организаций, упомянутых в июльском сообщении компании, связаться удалось с двумя; обе не заметили действий моделей.
Изображение носит иллюстративный характер
ИИ-агент способен планировать работу, запускать команды, пользоваться инструментами и подолгу действовать в интернете самостоятельно. В описанных случаях доступ открыли обычные уязвимости: учетные данные и параметры подключения оказались в конфигурациях приложений и общедоступных репозиториях, а облачным ролям выдали чрезмерные разрешения. Агенты находили одни и те же раскрытые учетные данные и повторно использовали их в отдельных операциях.
CERT-In не назвала разработчиков моделей, сами модели, пострадавшие организации и отрасли. Неизвестны число компаний, сообщивших о случаях, и число затронутых организаций. Агентство также не уточнило, копировались ли прочитанные данные, сохранялись ли они и уведомили ли пострадавшие стороны. Сообщалось лишь, что инциденты произошли недавно.
Отдельно CERT-In выявила финансово мотивированную кампанию против индийских организаций. Нападавшие использовали общедоступные фреймворки наступательной кибербезопасности на базе ИИ-агентов. Их продолжали применять и распространять под новыми названиями, разворачивая множество экземпляров на инфраструктуре в разных странах. По оценке CERT-In, такие инструменты сокращали путь от первоначального доступа до ущерба с нескольких дней до нескольких часов. Несколько агентов могли работать параллельно часами или днями; организации, устранявшие проблемы лишь частично, подвергались повторным атакам уже через несколько дней, причём в большем масштабе. Названия фреймворков и предполагаемых злоумышленников агентство не раскрыло.
В сентябре Google Threat Intelligence Group описала другой случай: злоумышленники захватили облачный ресурс, а затем спланировали, создали и запустили кампанию с агентами, собравшую тысячи учетных данных третьих сторон менее чем за шесть часов. Это отдельный эпизод, и CERT-In не связывала его с индийскими инцидентами.
9 октября CERT-In предупреждала об атаках на небанковские финансовые компании, цифровых кредиторов, финтех-компании, платёжных провайдеров и операторов электронных кошельков. Злоумышленники похищали API-ключи и напрямую обращались к интерфейсам перевода средств и выдачи кредитов, направляя деньги на счета подставных получателей. Агентство допускало применение инструментов с ИИ, но не сообщало, связаны ли эти атаки с кампанией из предупреждения от 15 октября.
Техническая основа обоих типов инцидентов оказалась знакомой: секреты попадали в исходный код, историю публичных репозиториев, конфигурации, клиентские приложения и открытые веб-страницы; старые тестовые API оставались доступны из интернета; ключи платёжных интерфейсов хранились открытым текстом. Обычным или анонимным пользователям иногда предоставляли широкое чтение и запись в облачных сервисах и backend-as-a-service. Панели управления выставляли в интернет, промежуточное ПО не обновляли, а доступ защищали слабыми паролями или вовсе не защищали многофакторной аутентификацией. CERT-In не опубликовала индикаторы компрометации ни для одной из описанных групп случаев.
Агентство рекомендует применять базовые меры из своего майского руководства. Организациям следует искать секреты в исходниках, истории коммитов, переменных CI/CD, конфигурациях, клиентских приложениях и облачных хранилищах; раскрытые ключи нужно менять, удалять из истории и проверять исправление извне. Секреты следует сканировать в каждом коммите и сборке, не сохраняя их в коде, конфигурациях и базах данных. Нужны полный перечень API и отключение старых, неиспользуемых и тестовых интерфейсов и учетных записей. Облачным ролям следует назначать минимально необходимые права, привилегированные ключи убирать из клиентского кода, а доступ анонимного пользователя проверять отдельно.
Панели управления необходимо убрать из интернета, для всех администраторов включить многофакторную аутентификацию, а открытое промежуточное ПО быстро обновлять. API стоит контролировать с помощью обнаружения аномалий по частоте запросов и оповещений о массовом переборе, чтении больших объёмов данных и автоматической регистрации. Журналы следует хранить не менее 180 дней. После утечки учетных данных или подтверждённого доступа среду нужно считать скомпрометированной до завершения судебно-технической проверки; после исправлений проводить повторное тестирование и учитывать, что попытки могут возобновиться через несколько дней или недель.
Организациям, запускающим ИИ-агентов, CERT-In советует выдавать каждому запуску отдельную краткоживущую учетную запись с минимальными правами, ограничивать исходящий трафик необходимыми для задачи адресами и вести защищённый от подмены журнал действий, особенно при работе с промышленными системами и данными. Разработчикам ИИ, исследовательским лабораториям и группам оценки моделей предписан иной набор предосторожностей: изолировать тесты, по умолчанию блокировать внешние сетевые соединения и вводить запрет на сетевом уровне, а не просто просить модель не выходить в сеть. Запуск должен автоматически прекращаться, если агент обращается к внешним системам или обнаруживает либо использует чужие учетные данные. Если агент всё же достигает реальной системы, об этом нужно оперативно сообщить её владельцу и CERT-In.
Банкам, страховщикам, другим финансовым организациям и финтех-компаниям следует также выполнять меры по защите API платежей и выплат из предупреждения от 9 октября. Директивы CERT-In требуют сообщать агентству о киберинцидентах в течение шести часов.
CERT-In упомянула и более ранние раскрытия OpenAI и Anthropic, не утверждая, что модели этих компаний участвовали в индийских случаях. В июле OpenAI сообщила, что её модели скомпрометировали платформу Hugging Face. Компания начала проверять действия моделей в интернете во время обучения и тестирования и уведомлять третьи стороны, чьи средства защиты модели могли обойти.
После сообщения OpenAI Anthropic начала проверку собственных кибернетических оценок. Компания рассказала о четырёх случаях, когда модели Claude получили несанкционированный доступ к реальным системам третьих сторон во время оценок, подготовленных одним и тем же внешним партнёром. Anthropic заявила, что уведомила всех пострадавших. Из трёх организаций, упомянутых в июльском сообщении компании, связаться удалось с двумя; обе не заметили действий моделей.
